浏览器与Node.js接口生成的文件MD5校验值不一致问题排查

核心原因 #

• 前端计算逻辑存在编码转换错误：使用readAsBinaryString读取文件得到的二进制字符串直接传入CryptoJS.MD5时，CryptoJS默认会将输入字符串按UTF-8编码解析，二进制文件中大量不符合UTF-8编码规则的字节会被替换为特殊占位符，原始文件内容被篡改，最终生成的MD5值和真实文件哈希不匹配。
• 后端最初的自计算逻辑存在同类错误：将文件原始Buffer强制转换为UTF-8字符串后再传入哈希实例，转码过程同样会破坏原始二进制内容，导致哈希值偏差。去掉.toString('utf-8')后直接传入原始Buffer计算，结果和express-fileupload内置返回的MD5一致，说明这部分修正后逻辑是正确的。

修复方案 #

前端修正实现 #

放弃readAsBinaryString读取方式，改用readAsArrayBuffer读取原始二进制内容，手动转换为CryptoJS支持的WordArray格式后再计算哈希，全程避免隐式编码转换：

const reader = new FileReader();
reader.onload = function(e) {
  // 将ArrayBuffer转换为CryptoJS识别的WordArray，不做编码篡改
  const wordArray = CryptoJS.lib.WordArray.create(e.target.result);
  const md5Str = CryptoJS.MD5(wordArray).toString(CryptoJS.enc.Hex);
  console.log('前端正确MD5:', md5Str);
};
// 读取原始二进制缓冲区
reader.readAsArrayBuffer(data);

如果要兼容旧逻辑保留readAsBinaryString写法，需要显式指定Latin1编码解析二进制字符串：const md5 = CryptoJS.MD5(CryptoJS.enc.Latin1.parse(e.target.result))，但稳定性不如ArrayBuffer方案。

后端正确实现 #

保持去掉UTF-8转码的逻辑，直接将文件原始Buffer传入哈希更新方法，不要做任何文本编码转换：

export async function(req, res, next) {
  const hash = crypto.createHash('md5');
  // 直接传入原始文件Buffer，禁止转文本字符串
  hash.update(req.files.file.data);
  const calcMd5 = hash.digest('hex');
  console.log('后端自计算MD5:', calcMd5);
  // 此处calcMd5与req.files.file.md5、前端修正后计算的MD5三者完全一致
}

哈希计算通用注意事项：计算任意文件的哈希值时，必须基于原始二进制字节流操作，绝对不要将二进制内容转为UTF-8等文本编码的字符串后再计算，转码过程对非文本字节的替换、截断会直接导致哈希值失配。

内容的提问来源于stack exchange，提问作者dendisdon